El transporte HTTP de obsidian-tc carece de protección contra Origin/DNS-rebinding, permitiendo acceso drive-by al vault en bucle invertido
Impacto
El transporte HTTP Streamable se construyó sin enableDnsRebindingProtection/allowedHosts/allowedOrigins y no realizaba validación del encabezado Origin. Con el valor predeterminado de bucle invertido documentado auth.mode: "none", una página web drive-by podía POST http://127.0.0.1/mcp y recibir http-local del llamador con alcances ["*"] — lectura/escritura completa del vault — mediante DNS rebinding / un Origin falsificado.
Parches
Corregido en 1.3.1. Actualice a >= 1.3.1. El transporte ahora habilita protección contra DNS-rebinding y hosts/origins permitidos, y devuelve HTTP 403 en un Origin inválido (según MCP 2025-11-25).
Mitigaciones
No exponga el transporte HTTP con auth.mode: "none"; requiera autenticación JWT o vincule a una interfaz que no sea de bucle invertido detrás de un proxy que valide Origin.
Qué hacer
Actualice a >= 1.3.1 (corregido en 1.3.1). Como alternativa, no exponga el transporte HTTP con auth.mode: "none"; requiera autenticación JWT o vincúlelo a una interfaz distinta de bucle invertido detrás de un proxy que valide Origin.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | obsidian-tc | < 1.3.1 | 1.3.1 |
Referencias
- https://github.com/The-40-Thieves/obsidian-tc/security/advisories/GHSA-pqh8-4pj7-32xx
- https://github.com/The-40-Thieves/obsidian-tc/pull/74
- https://github.com/The-40-Thieves/obsidian-tc/commit/6428bfe6fdfd43aa7b4b369be3aecd6a268fb928
- https://github.com/The-40-Thieves/obsidian-tc
- https://github.com/The-40-Thieves/obsidian-tc/releases/tag/v1.3.1
- https://nvd.nist.gov/vuln/detail/cve-2026-77363
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H- Debilidad (CWE)
CWE-1385, CWE-346- Plataforma
- npm
- Paquete
obsidian-tc- Publicada
- 23.10.2026
- Actualizado
- 24.10.2026 00:00
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-pqh8-4pj7-32xx - CC BY 4.0
Historial de vulnerabilidades: obsidian-tc
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 5
- Primera → última
- 10.2026 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Media 3
Divulgaciones por año
- 2026: 5
-
El transporte HTTP de obsidian-tc carece de protección contra Origin/DNS-rebinding, permitiendo acceso drive-by al vault en bucle invertido esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.